☕ CYBERBRIEFING — Domenica 13 settembre 2026
Il tuo riassunto quotidiano di cybersecurity da leggere con il caffè.
🔴 IN PRIMO PIANO
Il "Patch Tuesday" di settembre di Microsoft è il più grande della sua storia: quasi 974 vulnerabilità corrette in un colpo solo, quasi il doppio del precedente record di luglio. Tra queste, due falle zero-day risultano già sfruttate attivamente da attaccanti: una nel componente ALPC di Windows (CVE-2026-85880, che consente di ottenere privilegi di sistema) e una nel meccanismo di Windows Update stesso (CVE-2026-81963). Ancora più preoccupante: 20 delle vulnerabilità corrette sono "wormable", cioè potenzialmente in grado di propagarsi da sole tra i computer senza intervento umano, come accadde con WannaCry nel 2017. Se non l'hai già fatto, installa subito gli aggiornamenti di sicurezza di Windows.
📰 LE NOTIZIE DI OGGI
1. Google corregge il settimo zero-day di Chrome del 2026
Google ha rilasciato Chrome 153 per correggere una falla critica (CVE-2026-87491) nel motore JavaScript V8, già sfruttata attivamente per eseguire codice malevolo all'interno del browser. È il settimo zero-day di Chrome scoperto quest'anno, segno che il browser resta uno dei bersagli preferiti dagli attaccanti. La vulnerabilità riguarda anche i browser basati su Chromium come Edge, Brave e Opera: aggiorna il browser (o controllane manualmente la versione da Impostazioni) il prima possibile.
2. "ShieldCrash": un nuovo bug zero-day su Windows resta senza patch
Un ricercatore ha reso pubblica una vulnerabilità (CVE-2026-69414, soprannominata "ShieldCrash") che aggira una correzione precedente e permette di ottenere privilegi di sistema su Windows. Microsoft ha confermato il problema ma non ha ancora rilasciato una patch definitiva, dichiarando di starci lavorando. Fino ad allora è consigliabile mantenere attivi tutti gli strumenti di protezione endpoint e seguire gli avvisi di sicurezza aggiuntivi di Microsoft.
3. Attacco hacker a TeamSystem: rubati IBAN e dati di aziende italiane
TeamSystem, uno dei principali fornitori italiani di software gestionale e contabile, ha subito una violazione del proprio servizio Cloud Accounting: gli attaccanti hanno sottratto IBAN, dati anagrafici, email e numeri di telefono di clienti business. Il rischio concreto è quello di phishing mirato e di frodi tramite sostituzione di IBAN nelle fatture. Chi è cliente TeamSystem dovrebbe monitorare con attenzione i movimenti bancari dei prossimi giorni e verificare sempre per telefono, con un numero già noto, eventuali richieste di cambio coordinate bancarie.
4. Cyber Resilience Act: da giovedì scattano nuovi obblighi per le aziende
Dall'11 settembre, i produttori europei di prodotti con componenti digitali (inclusi i rivenditori che applicano il proprio marchio e chi integra componenti open source) devono segnalare entro 24 ore al CSIRT nazionale e all'ENISA le vulnerabilità sfruttate attivamente e gli incidenti gravi che riguardano i loro prodotti, anche se già in commercio. Le sanzioni per chi non si adegua possono arrivare fino a 15 milioni di euro o al 2,5% del fatturato globale. Il nodo critico: il 65% delle PMI italiane non ha ancora un inventario dei componenti software usati nei propri prodotti, il che renderà difficile rispettare le scadenze.
5. Doppia estorsione contro il governo di Berlino
Un gruppo ransomware ha pubblicato online dati sottratti a due dipartimenti dell'amministrazione comunale di Berlino, dopo averli sia cifrati sia minacciati di divulgazione pubblica: la classica tattica della "doppia estorsione", sempre più diffusa anche contro gli enti pubblici europei. L'episodio conferma come le pubbliche amministrazioni restino un bersaglio privilegiato per i gruppi criminali, un rischio concreto anche per i comuni e le PA italiane.
🔗 Boston Institute of Analytics
🛡️ CONSIGLIO DEL GIORNO
Con due zero-day Windows e uno di Chrome attivamente sfruttati proprio in questi giorni, attiva gli aggiornamenti automatici sia del sistema operativo sia del browser: è la misura più semplice ed efficace contro questo tipo di attacchi. E se ricevi una richiesta di cambio IBAN o dati bancari via email (come nel caso TeamSystem), verificala sempre chiamando un numero che già conosci, mai rispondendo al messaggio o cliccando sui link ricevuti.
Cyberbriefing Mattutino è una newsletter indipendente di cybersecurity in italiano.